CNAPPとは？構成要素とCSPM・CWPPとの違い、導入時の注意点を解説

クラウドサービスの設定不備は、情報漏えいなどにつながるおそれがあります。AWSやAzureなど複数のクラウドを併用する環境では管理画面が分かれ、リスクの全体像を把握しにくくなる場合があります。CNAPPは、クラウド環境のセキュリティ機能を1つに統合したプラットフォームです。

本記事では構成要素、CSPM・CWPPとの違い、導入時の注意点を整理します。

CNAPPとは、クラウドのセキュリティ対策を1つに統合したプラットフォーム

CNAPPは、クラウドネイティブな環境を守る機能を1つのプラットフォームに統合したソリューションです。ここでは読み方と正式名称、必要とされる背景を解説します。

CNAPPの読み方と正式名称

CNAPPは「シーナップ」と読み、Cloud-Native Application Protection Platformの略です。日本語ではクラウドネイティブアプリケーション保護プラットフォームと訳されます。

保護の対象はアプリケーション単体だけではなく、それが動くクラウド基盤の設定や権限、データまで含みます。Gartnerは、CNAPPについて、クラウドネイティブアプリケーションとインフラを開発から本番環境まで、ライフサイクル全体にわたって保護するものと説明しています。^※1

※1 Market Guide for Cloud-Native Application Protection Platforms

CNAPPが必要とされる背景

CNAPPが求められる理由は、クラウド環境の管理対象が分散し、従来のツールでは全体像をつかめなくなったためです。マルチクラウドや、Kubernetesをはじめとしたコンテナの活用が進むと、設定、権限、ワークロード、データが別々の管理画面に散らばります。また、AIサービスの利用が増加していることも挙げられます。

個別のツールだけでは検知結果が分散し、複数の要因を踏まえたリスクの優先順位を判断しにくい場合があります。クラウドの設定ミスや過剰な権限は侵入の起点になりやすく、総務省も設定不備を防ぐためのガイドラインを公表しています。^※2分散した情報を集約する仕組みが求められているのが現状です。

※2 総務省「クラウドサービス利用・提供における適切な設定のためのガイドライン」

CNAPPを構成する主な機能

CNAPPが守る範囲は、開発時のコード、クラウドの設定と権限、稼働中の環境、データとAI資産の4つに分けると整理しやすくなります。

それぞれの段階に対応する機能が次のとおりです。

開発段階を守る機能

開発段階では、IaCスキャンがインフラ定義コードの不備を検出します。TerraformやKubernetesマニフェストをデプロイ前に検査し、公開設定や権限の誤りを指摘する機能です。稼働後に直すより、反映前に止めるほうが手戻りを抑えられます。CNAPPの製品によってはソースコードやCI/CDパイプラインまで対象が広がります。

設定と権限を管理する機能

クラウドの設定と権限は、CSPM、KSPM、CIEMの3つが担います。CSPMはクラウド全体の設定ミスや基準からの逸脱を検出し、KSPMはKubernetesのクラスタやコンテナに特化した設定リスクを監視します。Kubernetesはコンテナをまとめて動かす基盤で、構成が頻繁に変わるため設定ミスが起きやすい領域です。

CIEMは過剰な権限や未使用アカウントを可視化し、最小権限の原則に沿った運用を支える機能です。いずれもCNAPPの土台にあたります。

実行段階を守る機能

稼働中の環境は、CWPPとCDRが守ります。CWPPは仮想マシンやコンテナ、サーバレスといったワークロードをスキャンし、脆弱性やマルウェアを検出する機能です。一方のCDRは、クラウド環境の挙動やイベントを監視し、不審な通信や通常と異なるユーザ行動などを検知・調査するための機能です。

CWPPとCDRを組み合わせることで、稼働中のワークロード保護から脅威の検知・対応までをカバーできます。CNAPP全体では、さらに開発段階や設定・権限管理の機能を統合し、アプリケーションのライフサイクル全体を保護します。

データとAI資産を守る機能

守る対象はデータとAIにも広がっています。DSPMは機密データがクラウド上のどこに置かれ、だれがアクセスできるのかを把握し、重要度に応じて評価します。AI-SPMはAIモデルや学習データといったAI資産の設定不備や過剰な権限を可視化する機能です。

近年では、AI関連の保護機能をCNAPPへ統合する製品も登場しています。

CNAPPとCSPM・CWPPの違いは対象範囲とリスクの結び付け方にある

比較項目	CNAPP	CSPM	CWPP
対象範囲	開発から運用まで全体	クラウドの設定	稼働中のワークロード
検知できるもの	設定、権限、脆弱性、脅威	設定ミス、基準からの逸脱	脆弱性、マルウェア
運用上の特徴	複数領域の情報を統合して評価	設定やセキュリティ態勢を継続的に評価	ワークロードを保護・監視

CSPMは主にクラウド環境の設定やセキュリティ態勢を管理し、CWPPはワークロードの脆弱性やランタイム保護を担います。CNAPPはこれら複数領域の情報を統合し、リスクを文脈に沿って評価・優先順位付けできる点が特徴です。同じ重大度の脆弱性でも、外部に公開された環境で動いていれば優先度は上がります。

CNAPP導入で得られる3つのメリット

CNAPPを導入すると、主に次の3つの効果が期待できます。

• 1.クラウド全体のリスクを一元的に把握できる
• 2.対応の優先順位を判断できる
• 3.コンプライアンス対応の負荷を減らせる

それぞれ順に見ていきます。

クラウド全体のリスクを一元的に把握できる

CNAPPは、複数のクラウドにまたがる資産と設定を1つの画面に集約します。AWSやAzureで管理画面が分かれていると、どこに何があるのかを把握するだけで工数が必要です。

CNAPPではAPI連携などを通じてクラウド資産を自動的に検出し、担当者が把握していない資産の可視化を支援できます。製品によってはエージェントレス方式にも対応しており、導入負荷を抑えながら資産を把握できます。

対応の優先順位を判断できる

検出したリスクは、対応すべき順に整理できます。設定不備を一覧で出すだけでは、どれから手をつけるべきか判断できません。CNAPPは資産の重要度、外部公開の有無、攻撃経路が成立するかどうかを組み合わせて評価します。

製品によっては、AIなどを用いてリスクを評価し、対応の優先度を提示するものもあります。大量のアラートから優先して確認すべき項目を絞り込みやすくなる点が、実務上の利点です。

コンプライアンス対応の負荷を減らせる

コンプライアンス対応は、継続的な監視によって効率化できます。PCI DSSや各種ガイドラインへの対応では、設定が基準を満たした状態を維持し続けなければなりません。CNAPPは基準をポリシーとして登録し、逸脱を自動で検出します。

製品によっては監査に利用できるレポートを出力できるため、担当者が証跡や資料を収集する負担を軽減できます。

CNAPP導入でつまずきやすい3つのポイント

CNAPPは導入すれば完結するものではありません。つまずきやすい点は次の3つです。

• 1.アラートが増え、対応が追いつかない
• 2.自社の基準に合わせたポリシー設計が必要
• 3.製品ごとに機能差があり比較が難しい

アラートが増え、対応が追いつかない

可視化の範囲が広がるほど、検知件数も増えます。CNAPPは複数の機能を統合するため、個別のツールを使っていたときより多くのリスクが表面化します。件数が増えた状態で優先度を判断できないと、重要な検知が埋もれることになりかねません。

検知した後にだれがどう判断し、だれが修正するのかを決めていなければ、アラートが積み上がるだけで終わります。導入前に運用体制を設計しておくことが求められます。

自社の基準に合わせたポリシー設計が必要

製品の初期ポリシーが、自社のセキュリティ基準にそのまま適合するとは限りません。クラウドのセキュリティ基準として広く使われるCISベンチマークは、クラウドサービスごとに内容が異なります。複数のクラウドを共通の方針で統制するには、各ベンチマークや自社基準の違いを踏まえてポリシーを調整する必要があります。

金融機関では、FISC安全対策基準を踏まえた対応が必要となるケースがあります。CNAPPの効果は、ポリシー設計をどこまで作り込めるかで変わります。

製品ごとに機能差があり比較が難しい

CNAPP製品は成り立ちや設計思想によって、各機能のカバー範囲や統合度に違いがあります。同じ名称の機能でも、検知できる範囲と対処の深さには差が出るため注意が必要です。

比較の際は次の観点を確認してください。

• 自社に必要な機能をどこまでカバーするか
• 対応するクラウドの範囲は自社環境に合うか
• エージェントの導入が必要か
• 導入と運用の支援体制があるか

CNAPPを自社だけで運用し続けるのが難しい理由

リスク判断には自社システムの理解と攻撃者視点の両方が必要

CNAPPのリスク判断には、自社のシステムがどのような単位で管理され、どのデータが事業にとって重要かを理解する必要があります。同時に、設定が攻撃者にどう悪用されうるかの視点も欠かせません。

主要な機能を共通して備える製品は多いものの、検知範囲や精度、リスクの評価方法、運用性には製品ごとの差があります。また、どこまでを製品に任せ、どこから人が判断するのかという運用設計も重要です。

第三者による評価で設定と運用のずれを補う

設定と運用のずれは、外部の専門家による評価で補うのが現実的です。クラウド環境は継続的に変化し、リリースのたびに設定も変わります。一方で変更には速さが求められるため、見落としや調整漏れが積み重なりやすくなります。

社内の担当者だけで点検を続けると、慣れや思い込みから同じ観点を見過ごす場合もあるでしょう。CNAPPの運用に外部の診断を組み合わせれば、第三者の視点から設定上の問題や改善事項を把握できます。

CNAPPに関するよくある質問

ここまで解説した内容を踏まえ、CNAPPについて寄せられることの多い疑問を5つ整理しました。導入を検討する際の判断材料としてご確認ください。

CNAPPはどこから導入を始めれば良いですか？

CNAPPの導入は、自社のクラウド環境と保護対象、現在抱えている課題を整理するところから始めます。そのうえで、対応するクラウドの範囲や運用方式、支援体制を比較し、必要に応じてPoCで検知結果や運用負荷を確認してから本格導入へ進む方法があります。

CSPMだけでは不十分ですか？

守りたい範囲によります。CSPMは設定状態の点検に特化した機能で、CNAPPを構成する要素の1つです。確認対象がクラウドの設定状態に限られる場合は、CSPM単体が選択肢になります。権限や稼働中のワークロード、データまで含めて管理する必要がある場合は、統合されたCNAPPが適しています。

複数のクラウドに対応できますか？

CNAPP製品の中には、AWS、Azure、Google Cloudなど複数のクラウドに対応するものがあります。複数のクラウドを共通の基準で評価できることは、製品選定時の重要な観点です。自社が利用する環境に対応しているかは、導入前に必ず確認しましょう。

製品はどう比較すれば良いですか？

必要な構成要素がそろっているか、対応クラウドの範囲、導入と運用の支援体制の3点で比べます。CNAPPは機能名が同じでも検知の深さが異なるため、評価環境で自社のクラウドを実際にスキャンし、検知結果や運用負荷を比較することが有効です。

自社だけで運用できますか？

CNAPPにはリスクの優先順位付けや自動化を支援する機能がありますが、ポリシーの調整や事業影響を踏まえた最終判断には専門的な知識が必要です。社内に体制を確保できない場合は、運用支援を提供する外部のサービスを組み合わせる選択肢があります。

まとめ：CNAPPはクラウド全体のリスクを一括で管理する仕組み

本記事で解説したCNAPPに関する要点をまとめます。

• CNAPPは、IaCスキャン、CSPM、KSPM、CIEM、CWPP、CDR、DSPM、AI-SPMなど、複数のセキュリティ機能を統合します
• CSPMやCWPPとの違いは、複数領域の情報を統合し、リスクを文脈に沿って評価・優先順位付けできる点にあります
• アラートの増加、ポリシー設計、製品ごとの機能差が、導入・運用時につまずきやすい点です

まずは自社のクラウド環境に何が必要かを整理するところから始めてください。

クラウドセキュリティの見直しをお考えの方はラックへ

ラックは、CNAPPを活用したクラウドセキュリティ統制支援サービスを提供しています。クラウドサービスごとに異なるCISベンチマークの差分を吸収するためのポリシーや、お客様の環境にあわせたポリシーなど、状況に応じたカスタマイズを支援します。

検知したアラートの一次判断を任せられるアラート初期対応サービスや、月次の報告会とレポートによる継続的な点検も選択可能です。PoCの支援から本格導入、運用設計、運用支援までを一貫して提供しているため、体制づくりの段階からご相談いただけます。